वेबसाइट सिक्योरिटी हेडर: 9 बिंदुओं की सूची जो आज ही ठीक की जा सकती है

01हेडर क्यों मायने रखते हैं

सिक्योरिटी हेडर आगंतुक के ब्राउज़र को जोखिम भरे व्यवहार से मना करने को कहते हैं: आपके पेज को किसी और के फ़्रेम में लोड करना, फ़ाइल प्रकार का अनुमान लगाना, आपका पूरा पता दूसरी साइटों को भेजना, या अज्ञात जगहों से स्क्रिप्ट चलाना। इनकी कोई लागत नहीं, ये पेज का वज़न नहीं बढ़ाते, और हमलों की पूरी श्रेणियों को रोक देते हैं।

021. वैध प्रमाणपत्र के साथ HTTPS

सब कुछ यहीं से शुरू होता है। पूरी साइट HTTPS पर वैध और अवधि-समाप्त न हुए प्रमाणपत्र के साथ लोड होनी चाहिए। Let's Encrypt या आपके CDN के मुफ़्त प्रमाणपत्र काफ़ी हैं।

032. HTTP से HTTPS पर रीडायरेक्ट

अगर कोई सादा http:// पता लिखता है, तो सर्वर को https:// संस्करण पर स्थायी रीडायरेक्ट के साथ जवाब देना चाहिए।

043. HSTS: HTTPS इस्तेमाल करना याद रखें

Strict-Transport-Security हेडर ब्राउज़र को बताता है कि आपके डोमेन के लिए लंबे समय तक HTTPS ही इस्तेमाल करे, भले ही आगंतुक http लिखे।

Strict-Transport-Security: max-age=31536000; includeSubDomains

054. कंटेंट सिक्योरिटी पॉलिसी (CSP)

CSP बताती है कि स्क्रिप्ट, स्टाइल और इमेज कहाँ से लोड हो सकती हैं। यह क्रॉस-साइट स्क्रिप्टिंग (XSS) के विरुद्ध सबसे मज़बूत बचाव है, और सही करने में सबसे कठिन हेडर है।

Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

065. क्लिकजैकिंग से सुरक्षा

दूसरी साइटों को अपने पेज छिपे फ़्रेम में एम्बेड करने से रोकें। आधुनिक तरीक़ा आपकी CSP में frame-ancestors है, और X-Frame-Options पुराने ब्राउज़र सँभालता है।

X-Frame-Options: DENY

076. X-Content-Type-Options

ब्राउज़र को बताता है कि घोषित फ़ाइल प्रकार पर भरोसा करे और अनुमान न लगाए। एक पंक्ति, कोई नुक़सान नहीं।

X-Content-Type-Options: nosniff

087. Referrer-Policy

तय करती है कि जब आगंतुक किसी दूसरी साइट के लिंक पर क्लिक करे तो आपके पेज के पते का कितना हिस्सा साझा हो।

Referrer-Policy: strict-origin-when-cross-origin

098. तकनीक की जानकारी लीक न हो

Server: nginx/1.18.0 या X-Powered-By: PHP/7.4 जैसे हेडर हमलावरों को ठीक-ठीक बता देते हैं कि कौन से संस्करण खोजने हैं। जहाँ आपका प्लेटफ़ॉर्म अनुमति दे, इन्हें हटाएँ या छिपाएँ।

109. सुरक्षित कुकी

लॉगिन सत्र रखने वाली कुकी में Secure (केवल HTTPS), HttpOnly (स्क्रिप्ट नहीं पढ़ सकतीं) और SameSite (साइटों के बीच भेजना सीमित करता है) होना चाहिए।

Set-Cookie: session=...; Secure; HttpOnly; SameSite=Lax

11इन्हें कहाँ सेट करें

Cloudflare Workers की स्टैटिक एसेट्स में, अपनी साइट की फ़ाइलों के पास एक सादी _headers फ़ाइल रखें:

/*
  Strict-Transport-Security: max-age=31536000; includeSubDomains
  X-Content-Type-Options: nosniff
  X-Frame-Options: DENY
  Referrer-Policy: strict-origin-when-cross-origin

दूसरे होस्ट की अपनी जगह होती है: nginx में add_header, Apache में Header set, या आपका होस्टिंग पैनल।

12अपनी वेबसाइट जाँचें

अपना पता दर्ज करें और पुष्टि करें कि आपको इसे जाँचने की अनुमति है। किसी भी ब्राउज़र की तरह एक सामान्य अनुरोध भेजा जाता है, और कुछ भी संग्रहीत नहीं होता।